Seguridad de la información ISO 27001 – capacitación para colaboradores

15 módulos · aprox. 59 minutos · examen final con 25 preguntas, 20 correctas para aprobar · certificado de participación en PDF

De qué trata este curso

La mayoría de los incidentes de seguridad empiezan con un comportamiento humano — un correo de phishing, una contraseña compartida, una memoria USB ajena, una pantalla desbloqueada. Por eso ISO/IEC 27001:2022 exige en el cap.

No necesita registrarse. Su nombre y correo los pedimos solo antes del examen final – únicamente para su certificado. Su avance se guarda en este navegador. Puede interrumpir en cualquier momento y continuar después.

Módulo 1 de 15

De qué se trata — y qué no es este curso

La mayoría de los incidentes de seguridad no empiezan en la tecnología, sino en una persona: un correo de phishing que se abre, una contraseña que se comparte, una memoria USB que se conecta «solo un momento». Por eso ISO/IEC 27001:2022 exige en el cap. 7.3 que cada persona que trabaja para la organización conozca la política de seguridad de la información, entienda su propia contribución a la eficacia del sistema de gestión y sepa qué consecuencias tiene un incumplimiento. El control 6.3 del anexo A pide además concienciación y capacitación periódicas — y en la auditoría de certificación el auditor pregunta primero por la evidencia.

Lo que cubre este curso: la parte general de la capacitación de colaboradores en seguridad de la información — los tres objetivos de protección, el marco normativo y legal (ISO/IEC 27001:2022, ISO/IEC 27002:2022, LFPDPPP, protección del secreto industrial, NIS-2 como referencia internacional), las obligaciones de cada persona, contraseñas seguras y autenticación multifactor, phishing e ingeniería social, escritorio limpio y dispositivos móviles, clasificación y necesidad de saber, uso seguro de internet, detectar y reportar incidentes de seguridad, trabajo en casa — con examen final y certificado de participación, cuyo número puede comprobarse en la página de verificación de certificado de la Academia.

Lo que este curso no cubre: la parte específica de su empresa. Quién es en su organización el responsable de seguridad de la información, a quién se reporta un incidente, qué política de contraseñas, qué niveles de clasificación, qué dispositivos y servicios en la nube están permitidos — eso solo lo sabe su empresa. Para ello está al final el módulo «Procedimiento en su propia empresa». El curso no sustituye el sistema de gestión de seguridad de la información (SGSI) ni la evaluación de riesgos, ni las medidas técnicas del área de TI, ni la asesoría legal sobre las obligaciones concretas de su empresa.

Para recordar

La seguridad de la información no es tarea del área de TI, sino de cada persona que trabaja con información — en la computadora, en el teléfono, en la impresora, en el transporte. Este curso le da las herramientas; las reglas de su casa las completa su empresa.

Módulo 2 de 15

El marco normativo y legal en un solo lugar — ISO/IEC 27001, LFPDPPP, secreto industrial, NIS-2

Varios marcos se complementan. Quien los ve una vez lado a lado entiende por qué las reglas de los módulos siguientes no son un invento del área de TI.

A quién afecta la presión de los clientes

En México no existe hoy una ley de ciberseguridad comparable a la NIS-2 europea. Sin embargo, muchas empresas sienten las exigencias de forma indirecta: los clientes grandes — bancos, automotrices, empresas de energía, grupos internacionales y sus filiales europeas — piden a sus proveedores un certificado ISO/IEC 27001, un cuestionario de seguridad o evidencias de capacitación. Si su empresa está afectada lo aclara su organización (vea el módulo «Procedimiento en su propia empresa»).

Qué significa esto para usted como colaborador

Ya sea que su empresa esté certificada en ISO/IEC 27001, que tenga clientes con exigencias de seguridad o que «solo» trate datos de clientes — en cualquier caso, al menos un marco exige que usted esté capacitado, reporte incidentes y cumpla las reglas de seguridad de la casa. Las reglas de los módulos siguientes no son preferencias de TI, sino requisitos de normas y leyes llevados a la práctica.

Para recordar

ISO/IEC 27001 es voluntaria — hasta que un cliente pide el certificado. La LFPDPPP es ley para toda empresa que trata datos personales. La NIS-2 rige en la UE y llega a través de la cadena de suministro. Todos piden lo mismo de usted: conciencia, apego a las reglas, reportar.

Nota: información sobre la LFPDPPP y la NIS-2 con estado a octubre de 2026; los detalles deben verificarse en cada caso con la versión vigente.

Módulo 3 de 15

Los tres objetivos de protección — confidencialidad, integridad, disponibilidad

La seguridad de la información protege información — no solo datos en la computadora, sino también la conversación en el autobús, la impresión en la impresora y el conocimiento en la cabeza. ISO/IEC 27000 la define como la preservación de tres propiedades:

En inglés se llaman CIA — Confidentiality, Integrity, Availability. Cada regla de seguridad de este curso se remite a uno de los tres objetivos: el bloqueo de pantalla y el escritorio limpio protegen la confidencialidad, el manejo de archivos adjuntos la integridad y la disponibilidad, el reporte de un incidente los tres.

Diferencia: protección de datos personales y seguridad de TI

• La protección de datos personales (LFPDPPP) protege a las personas frente a las consecuencias del tratamiento de sus datos. La seguridad de la información protege toda la información de la empresa — también planos, precios y contratos en los que no hay ninguna persona involucrada. La LFPDPPP exige, sin embargo, medidas de seguridad contra el daño, la pérdida, la alteración y el acceso no autorizado — aquí ambas se cruzan.
• La seguridad de TI es la parte técnica: firewall, antivirus, cifrado, respaldos. La seguridad de la información abarca además la organización, los edificios y las personas — y la mayoría de los incidentes empiezan justo ahí.

Por qué la empresa lo necesita

• Proteger secretos industriales y datos de clientes — sin medidas suficientes, el secreto industrial no tiene protección legal
• Cumplir requisitos legales (LFPDPPP, normativa sectorial, exigencias de clientes internacionales)
• Confianza de clientes que piden cada vez más un certificado ISO/IEC 27001 o un cuestionario de seguridad
• Evitar costos de paro y recuperación — un ataque de ransomware puede detener a una empresa mediana durante semanas

Para recordar

Tres preguntas bastan para evaluar casi cualquier situación: ¿Esta persona puede ver esto? ¿La información sigue siendo correcta? ¿Todavía podemos acceder a ella? Si una respuesta es «no» o «no sé», es un caso para reportar.

Módulo 4 de 15

Su papel y sus obligaciones

Un sistema de gestión según ISO/IEC 27001 solo funciona si cada persona conoce su parte. La norma exige en el cap. 7.3 que usted sepa tres cosas: la política de seguridad de la información de su empresa, su propia contribución a la eficacia del sistema — y las consecuencias si no se cumplen los requisitos.

Lo que cada persona debe cumplir

Qué es un evento de seguridad de la información

Un evento es todo lo que indica una posible violación de la seguridad. Si se convierte en un incidente no lo decide la persona que reporta, sino el área responsable (control 5.25). Eventos típicos:

• pérdida o robo de una laptop, un teléfono, una memoria USB o un gafete
• un correo sospechoso — aunque no haya hecho clic
• un intento de inicio de sesión ajeno o un acceso desde un lugar desconocido
• datos confidenciales enviados al destinatario equivocado
• comportamiento extraño del sistema, programas desconocidos, archivos cifrados
• una persona ajena sin gafete en el edificio, una puerta abierta al cuarto de servidores

Consecuencias de los incumplimientos

ISO/IEC 27002 exige en el control 6.4 un proceso disciplinario regulado para los incumplimientos — escalonado según la gravedad y la intención. En lo laboral va desde la amonestación hasta la rescisión de la relación de trabajo; la Ley Federal del Trabajo obliga a guardar los secretos técnicos, comerciales y de fabricación, y la revelación dolosa de secretos industriales puede generar además responsabilidad civil y penal. A la inversa: quien reporta un error actúa bien — el reporte en sí no se sanciona.

Para recordar

Usted no es responsable de que nunca pase nada. Es responsable de cumplir las reglas y de reportar de inmediato cuando algo pasó o pudo haber pasado. Ambas cosas juntas son su contribución al SGSI — y ambas las pregunta el auditor.

Módulo 5 de 15

Contraseñas y autenticación multifactor

La contraseña es la llave de su puesto de trabajo. El control 5.17 exige que la información de autenticación se trate de forma confidencial — y que la empresa le capacite al respecto.

Qué hace segura una contraseña — estado de las recomendaciones de referencia

Malos ejemplos de la práctica: Contraseña123!, Empresa2026, Verano2026! — todos cumplen las viejas «reglas de complejidad» y se descifran en segundos.

Lo que está prohibido

• Anotar contraseñas en el puesto de trabajo — ningún papel bajo el teclado, ninguna nota adhesiva en el monitor
• Compartir contraseñas por correo, chat o teléfono
• Compartir contraseñas — tampoco con colegas, jefes ni con TI. Un área de TI real nunca necesita su contraseña; puede restablecerla
• Guardar contraseñas en archivos sin cifrar (Excel, Word, app de notas) — una hoja «oculta» o una contraseña de archivo no es protección
• Reutilizar contraseñas de trabajo en cuentas privadas

Autenticación multifactor (MFA)

La MFA combina dos factores distintos: algo que usted sabe (contraseña) con algo que tiene (app autenticadora, token físico, tarjeta inteligente) o que es (huella dactilar, rostro). Una contraseña robada ya no basta por sí sola.

Orden de seguridad según las recomendaciones de referencia: token físico o passkey (FIDO2) > app autenticadora > código por SMS. El SMS se considera solo una solución de emergencia, porque los códigos pueden interceptarse o las tarjetas SIM pueden ser suplantadas. El control 8.5 exige MFA en especial para accesos privilegiados, acceso remoto y servicios en la nube.

Su obligación: activar la MFA donde la empresa lo exija — y nunca entregar un código de MFA a petición de alguien ni aprobar una confirmación de inicio de sesión que usted no haya iniciado («ataque de fatiga de MFA»).

Para recordar

Larga, única, secreta — y con segundo factor. Quien le pide su contraseña o un código de confirmación nunca es TI. Reporte la llamada.

Módulo 6 de 15

Seguridad del correo electrónico y phishing

El phishing son mensajes fraudulentos — por correo, SMS («smishing»), mensajería o llamada («vishing») — que buscan que usted entregue credenciales, ejecute software malicioso o transfiera dinero. Según los informes de situación de los organismos de ciberseguridad, el phishing es la puerta de entrada más frecuente de los ataques de ransomware contra empresas. Y: desde que los atacantes usan IA, las faltas de ortografía y un español torpe ya no son una señal de alerta confiable.

Señales de alerta

Fraude del CEO / spear phishing: los atacantes investigan nombres, responsabilidades y proyectos actuales (LinkedIn, sitio web, comunicados de prensa) y escriben un mensaje que encaja perfectamente — supuestamente del director general, de un proveedor, del contador. Cuanto más personal sea el mensaje, mayor debe ser la cautela ante peticiones inusuales.

Antes del clic: cuatro preguntas

1. ¿Esperaba este mensaje?
2. ¿Conozco al remitente — y la dirección real es correcta?
3. ¿La petición es plausible — esta persona realmente lo pediría así?
4. Si hay duda: verificar por un canal independiente — número de teléfono del directorio, no del correo; nunca responder al mensaje sospechoso.

Comportamiento correcto

• No hacer clic en enlaces, no abrir adjuntos, no escanear códigos QR de mensajes sospechosos
• Reportar el correo sospechoso (botón de reporte de phishing o TI) — no solo borrarlo: su reporte protege a los colegas que recibieron el mismo mensaje
• Si hizo clic o ingresó datos: reportar de inmediato y cambiar la contraseña por la vía oficial — sin vergüenza, solo cuenta la rapidez
• Enviar contenido confidencial solo cifrado o mediante plataformas autorizadas (control 5.14); revisar los destinatarios antes de enviar — el autocompletado es la causa más frecuente de envíos equivocados
• Cuidado con «Responder a todos» y con reenviar cadenas largas con contenido confidencial

Para recordar

Al atacante le basta un clic; a usted, un momento. Quien ante una petición inusual toma el teléfono en lugar del mouse ya ha frenado casi cualquier ataque de phishing.

Módulo 7 de 15

Puesto de trabajo, bloqueo de pantalla y dispositivos móviles

Las medidas de seguridad más sencillas no cuestan nada y funcionan de inmediato: bloquear la pantalla, dejar el escritorio vacío, tener el equipo cifrado.

Escritorio limpio y pantalla limpia (control 7.7)

Al dejar el puesto de trabajo — aunque sea por cinco minutos:

• Bloquear la pantalla: Windows Win + L, Mac Ctrl + Cmd + Q. No apagar, no dejarla abierta «un momento», no pedir a un colega que la vigile
• Guardar bajo llave los documentos con contenido confidencial — archivero, cajón, cajonera
• Nada de notas adhesivas con credenciales, expedientes abiertos ni pizarrones con datos de clientes o proyectos en salas de juntas que usan visitantes
• Colocar el monitor de forma que nadie pueda leer desde la puerta o el pasillo

Al final del día: escritorio vacío, impresiones guardadas bajo llave o en la trituradora, monitor apagado.

Bloqueo automático de pantalla: la norma no indica minutos; las guías de buenas prácticas exigen un bloqueo automático por inactividad, y en la práctica las empresas configuran de 5 a máximo 10 minutos. Usted no debe desactivar ni alargar el bloqueo.

Impresoras, escáneres, copiadoras: recoger de inmediato las impresiones; imprimir documentos confidenciales con impresión segura (PIN en el equipo), si existe; no tirar las impresiones fallidas al bote de basura, sino a la trituradora.

Dispositivos móviles (controles 7.9, 8.1)

La laptop, el teléfono y la tableta salen del edificio — y con ellos los datos.

• Mantener activo el cifrado del equipo (BitLocker, FileVault, estándar en iOS/Android); solo así un equipo perdido no es una pérdida de datos
• Bloqueo fuerte: PIN de al menos 6 dígitos, mejor contraseña o biometría; bloqueo automático tras poca inactividad
• Solo apps autorizadas del portal de la empresa o de las tiendas oficiales; nada de apps privadas de nube o mensajería para datos de la empresa
• Instalar pronto las actualizaciones — las vulnerabilidades se explotan en cuestión de días
• Nunca dejar el equipo a la vista en el auto, el autobús o el hotel; en el transporte, filtro de privacidad y nada de llamadas confidenciales
• Reportar de inmediato una pérdida o un robo — cualquier equipo, también «sin datos importantes»: TI puede bloquearlo y borrarlo a distancia, pero solo si lo sabe

Medios extraíbles (control 7.10)

• Nunca conectar memorias USB ajenas a una computadora de la empresa — tampoco «para encontrar al dueño». Las memorias preparadas instalan software malicioso al conectarse. Entregue a TI las memorias encontradas
• Medios privados solo con autorización expresa; datos de la empresa solo en medios cifrados entregados por la empresa
• Los medios que ya no se necesitan no van a la basura, sino a TI para su destrucción segura

Para recordar

Win + L es la combinación de teclas más importante de su jornada. Y una memoria USB encontrada no es un hallazgo, sino un posible ataque — va a TI, no a su computadora.

Módulo 8 de 15

Confidencialidad, clasificación y necesidad de saber

No toda la información necesita la misma protección. Por eso el control 5.12 exige que la empresa clasifique la información — y que usted reconozca el nivel y actúe en consecuencia.

Los cuatro niveles habituales

Los nombres de los niveles los define su empresa (módulo «Procedimiento en su propia empresa»); lo habitual son tres o cuatro niveles. Lo importante es el etiquetado (control 5.13): documentos, correos y medios llevan su nivel a la vista — en el nombre del archivo, en el encabezado, en el asunto.

Necesidad de saber y mínimo privilegio (control 5.15)

Solo tiene acceso quien necesita la información para su tarea — no quien la encuentra interesante, no quien está en la misma área, no quien «de todos modos es el jefe». De ahí se desprende para usted:

• No compartir «entre colegas» si la otra persona no necesita la información para su tarea
• Los derechos de acceso que ya no necesita, repórtelos para que se retiren — los derechos sobrantes son un riesgo, no una comodidad
• Si nota que puede acceder a algo a lo que no debería: repórtelo

Por qué también importa jurídicamente

La Ley Federal de Protección a la Propiedad Industrial protege una información como secreto industrial solo si su titular adoptó medios o sistemas suficientes para preservar su confidencialidad. Una fórmula que está en una carpeta compartida abierta y que cualquiera puede copiar difícilmente puede defenderse como secreto industrial — la protección ante un juez depende de que la clasificación y la restricción de accesos se vivan en el día a día.

Lo que está prohibido

• Almacenamiento en la nube y mensajería privados (Dropbox, Google Drive privado, WhatsApp, servicios de IA privados) para datos de la empresa — solo servicios autorizados
• Compartir con terceros sin acuerdo de confidencialidad (control 6.6)
• Conversaciones sobre temas confidenciales en el transporte, la cafetería, el elevador, el comedor o con la puerta de la oficina abierta
• Documentos confidenciales en el bote de basura normal o en el papel para reciclar — van a la trituradora o al contenedor cerrado de destrucción

Destrucción segura (control 7.14, ISO/IEC 21964)

La norma internacional ISO/IEC 21964, basada en la alemana DIN 66399, clasifica los soportes de datos en clases de protección 1 a 3 y niveles de seguridad P-1 a P-7 (papel). Para datos confidenciales y personales (clase de protección 2) lo habitual es al menos P-4 — partículas de 160 mm² como máximo, con las que el contenido ya no puede reconstruirse. Un corte en tiras (P-1, P-2) no basta. Discos duros, memorias USB y teléfonos no se «borran», sino que TI los destruye con certificado o los sobrescribe de forma segura.

Para recordar

Antes de compartir algo, pregúntese: ¿Qué nivel tiene esto — y la otra persona de verdad lo necesita para su trabajo? Dos veces «no sé» significa: no compartir, primero preguntar.

Módulo 9 de 15

Uso seguro de internet, software y redes sociales

Después del correo, el navegador es la segunda puerta de entrada más frecuente. Tres reglas cubren la mayoría de los riesgos: leer las direcciones, no instalar nada por cuenta propia, no sacar datos de la empresa.

Evaluar bien los sitios web

• HTTPS (símbolo del candado) solo significa: la conexión está cifrada. No significa que el sitio sea confiable — también los sitios de phishing tienen hoy casi siempre un certificado válido. Lo decisivo es la dirección: empresa-login.mx no es empresa.mx
• Tomar en serio las advertencias del navegador: «Esta conexión no es segura», «Certificado no válido» — no cerrarlas ni hacer clic en «continuar de todos modos», sino cancelar y, si hace falta, preguntar a TI
• Las ventanas emergentes que advierten de virus y piden llamar o descargar algo son el ataque en sí («scareware»); cierre la ventana, no llame a nadie
• El filtro web de la empresa (control 8.23) bloquea sitios maliciosos conocidos — un mensaje de bloqueo no es un error que se rodea, sino una protección; los intentos de evadirlo (proxy, hotspot privado) son un incumplimiento

Descargas y software (control 8.19)

• Ninguna instalación propia de software en equipos de la empresa — tampoco «herramientas pequeñas», extensiones del navegador o controladores. El software se obtiene del portal de la empresa o mediante una solicitud a TI, que revisa licencia, origen y seguridad
• Prohibido: copias piratas, programas crack y keygen (casi siempre con software malicioso y sancionados por la legislación mexicana de derechos de autor), software de portales de descarga, licencias privadas en la computadora de la empresa
• Archivos de internet solo de fuentes conocidas y autorizadas; si hay duda, que TI los revise antes de abrirlos

Servicios de IA y herramientas en línea

Los chatbots públicos de IA, traductores, convertidores de PDF y servicios para compartir archivos procesan lo que usted ingresa en servidores ajenos — a menudo en otros países, a menudo para entrenar otros modelos. Los datos confidenciales o personales no van en servicios públicos en línea, salvo que la empresa haya autorizado el servicio con contrato y configuración. Lo que está autorizado figura en la política de uso aceptable (control 5.10).

Redes sociales

Regla práctica: lo que no gritaría en la plaza pública no va en internet.

• Nada de información de la empresa, proyectos, nombres de clientes o cifras sin autorización expresa — tampoco «anonimizado»
• Nada de fotos de la oficina, el taller o la planta: en ellas suelen leerse pantallas, pizarrones, gafetes, planos y placas de identificación
• Los atacantes usan las publicaciones para el spear phishing: quien publica en LinkedIn que esta semana introduce el nuevo software de contabilidad recibe al día siguiente el correo de phishing a la medida
• Solicitudes de contacto de desconocidos con un interés llamativo en su trabajo: mantenerse reservado, no confirmar nada interno

Para recordar

El candado del navegador solo dice que nadie está escuchando — no con quién está hablando. Lea la dirección, no instale nada por su cuenta y trate internet como un espacio público.

Módulo 10 de 15

Visitantes, acceso e ingeniería social

El mejor firewall no sirve si alguien entra por la puerta. Y el mejor filtro de spam no sirve si alguien llama por teléfono. La ingeniería social es la manipulación de personas para obtener información o acceso — el ataque no apunta a la tecnología, sino a la disposición a ayudar, al respeto a la autoridad y a la prisa.

Visitantes y acceso (controles 7.1, 7.2)

• Los visitantes se registran en recepción, reciben un gafete de visitante y van acompañados — de la recepción a la salida
• Los visitantes no se quedan solos en oficinas o salas de juntas con documentos, pantallas abiertas o tomas de red
• En las áreas seguras (cuarto de servidores, desarrollo, archivo) aplica: acceso solo para personas autorizadas por nombre, acompañamiento obligatorio, nada de fotos (control 7.6)
• Tailgating: alguien le sigue por la puerta de acceso antes de que se cierre — «Olvidé mi gafete», «Vengo de la paquetería». Cierre la puerta y remita con amabilidad a recepción. No es descortés, es su tarea
• Una persona ajena sin gafete en el edificio: diríjase a ella con cortesía («¿Le puedo ayudar? ¿Con quién tiene cita?») o avise a recepción o a vigilancia — no la ignore ni la siga a escondidas

Engaños típicos

Protección: tres reglas de conducta

1. Verificar la identidad — por un canal que usted elija. Devolver la llamada al número del directorio, no al que le dieron; preguntar en persona al jefe real
2. Ninguna información confidencial por teléfono o en la puerta — ni contraseña, ni código de MFA, ni datos de clientes, ni quién está de vacaciones o qué software se usa
3. La presión es una señal de alerta, no un motivo de prisa. Quien de verdad está autorizado acepta una verificación. Quien se molesta por ella tiene algo que ocultar

Y: reporte cada intento — también el que fracasó. Los ingenieros sociales lo intentan con varias personas; su reporte alerta a los demás.

Para recordar

TI nunca pide su contraseña, el jefe nunca pide tarjetas de regalo por chat y un visitante sin gafete no es un visitante. Sea amable — y aun así diga que no.

Módulo 11 de 15

Detectar y reportar incidentes de seguridad

Los incidentes no pueden evitarse por completo — pero su daño depende casi siempre de qué tan rápido se reportan. El control 6.8 obliga a cada persona a reportar sin demora los eventos observados o sospechados por la ruta establecida.

Reconocer las señales de alerta

• Los archivos ya no se abren, tienen extensiones extrañas, aparece un mensaje de extorsión — ransomware
• La computadora se vuelve de pronto muy lenta, el ventilador no para, los programas se abren solos, aparecen ventanas desconocidas
• En «Enviados» hay correos que usted no escribió; colegas o clientes reportan mensajes extraños desde su dirección
• Aviso de un inicio de sesión desde un equipo o lugar desconocido, llega un código de MFA que usted no pidió
• El antivirus está desactivado o reporta un hallazgo
• Hizo clic en un enlace o abrió un adjunto y ahora tiene «un mal presentimiento» — también eso es un evento
• Un correo con un adjunto confidencial llegó al destinatario equivocado; falta un equipo o un gafete

Medidas inmediatas ante sospecha de software malicioso

1. Desconectar la computadora de la red — quitar el cable de red, apagar el wifi, modo avión. Así detiene la propagación y la fuga de datos
2. No apagar, no reiniciar — en la memoria de trabajo hay rastros que TI necesita para el análisis (control 5.28); además, algunos ransomware terminan de cifrar al reiniciar
3. Reportar de inmediato — TI / responsable de seguridad de la información / número de emergencia, en persona o por teléfono, no solo por correo desde el equipo afectado
4. Ningún intento de rescate propio — ni escaneo antivirus por su cuenta, ni borrado, ni pago, ni respuesta al extorsionador
5. Cambiar contraseñas solo cuando TI lo indique — y desde un equipo limpio

Qué pasa después del reporte — y por qué cuenta el tiempo

El área responsable evalúa el evento (control 5.25), decide si es un incidente, responde (5.26) y analiza (5.27). Al mismo tiempo corren obligaciones legales y contractuales que empiezan desde que la empresa tiene conocimiento — no desde que alguien tiene tiempo:

Quien el viernes en la noche nota un envío erróneo y espera hasta el lunes ya no informó «de inmediato» — y si aplica un plazo de 72 horas, ya consumió dos tercios antes de que alguien pudiera decidir.

Cultura de reporte: reportar no se castiga

Quien reporta un error actúa bien — aunque lo haya cometido él mismo. ISO/IEC 27001 exige que la empresa aprenda de los incidentes (control 5.27); eso solo es posible con reportes. Lo que se sanciona es callar: un clic no reportado se convierte en una empresa cifrada, un envío erróneo no reportado en una sanción. Cuanto antes el reporte, menor el daño — y menor la consecuencia.

Para recordar

Desconectar de la red, no apagar, llamar de inmediato. Y en caso de duda: mejor diez falsas alarmas que un incidente callado.

Módulo 12 de 15

Trabajo en casa, trabajo móvil y videoconferencias

En casa, en el autobús y en la cafetería valen los mismos objetivos de protección que en la oficina — solo que faltan vigilancia, puertas con llave y la red de la empresa. Por eso el control 6.7 exige reglas propias para el trabajo a distancia, y usted las aplica.

En el trabajo en casa

• Usar solo equipos autorizados de la empresa — ni la computadora privada ni la tableta familiar, tampoco «solo para correos». Los equipos privados no tienen antivirus administrado, ni cifrado, ni control de actualizaciones
• VPN (o el acceso seguro que indique la empresa) para todo acceso a los sistemas de la empresa; herramientas de control remoto como TeamViewer o AnyDesk no son un sustituto y solo se permiten con autorización
• Cifrar el wifi de casa con WPA2 o WPA3, cambiar la contraseña de fábrica del router, instalar sus actualizaciones; red de invitados para los equipos privados
• Área de trabajo separada, si es posible: que la familia, los compañeros de casa y las visitas no vean la pantalla — los niños no usan el equipo de la empresa; nada de llamadas con datos de clientes con la puerta abierta o en altavoz
• Evitar en lo posible las impresiones; guardar bajo llave los papeles confidenciales y no tirarlos a la basura de casa, sino llevarlos a la oficina para su destrucción
• Bloquear el equipo al levantarse — también en casa

Videoconferencias

• Solo herramientas autorizadas (que la empresa revisó contractualmente y en materia de protección de datos); nada de cuentas privadas
• Activar la sala de espera, revisar a los participantes, acceso con contraseña o invitación; no publicar los enlaces
• Compartir pantalla de forma dirigida — solo la ventana, no toda la pantalla; antes, cerrar notificaciones y documentos abiertos
• Fondo neutro o difuminado: pizarrones, estantes con expedientes y fotos familiares revelan más de lo que cree
• Grabaciones solo con el consentimiento de todos y con autorización

En el camino: autobús, cafetería, aeropuerto, hotel

• Usar filtro de privacidad; elegir el asiento de forma que nadie esté detrás de usted («shoulder surfing»)
• Ninguna llamada confidencial en el autobús, la terminal o la cafetería — quien escucha no necesita tecnología
• Wifi público solo con VPN, mejor el propio hotspot del teléfono de la empresa; nada de puertos USB de carga «gratuitos» en aeropuertos (juice jacking) — usar el propio cargador
• Los equipos nunca sin vigilancia — tampoco «un momento al baño», tampoco en el asiento del autobús, tampoco a la vista en el auto. Llevarlos o guardarlos; el bloqueo de pantalla solo no protege contra el robo
• En el hotel: el equipo en la caja fuerte, no suelto en la habitación

Para recordar

El trabajo en casa no es un espacio privado para datos de la empresa, y el autobús no es una oficina. Equipo de la empresa, VPN, filtro de privacidad — y el equipo va con usted a donde vaya.

Módulo 13 de 15

Caso práctico: la factura adjunta

La situación: Martes, 9:40 h. El Sr. Bernal, de compras de Maquinados Industriales del Bajío, S.A. de C.V. — un fabricante de maquinaria en Querétaro con 120 colaboradores, proveedor de una empresa de energía —, recibe un correo: «Factura 2026-4471 — recordatorio de pago», remitente cobranza@aceros-villarreal-sa.com. Aceros Villarreal es un proveedor real y se espera efectivamente una factura. Adjunto: Factura_4471.zip. El Sr. Bernal abre el ZIP; dentro hay un Factura_4471.pdf.exe — el icono parece un PDF. Doble clic. No se abre nada. El Sr. Bernal piensa: «Archivo dañado», y sigue trabajando.

Lo que realmente pasó

El remitente era aceros-villarreal-sa.com — el proveedor real usa acerosvillarreal.com.mx. Los atacantes habían tomado la cuenta de correo de un empleado de Aceros Villarreal, leído la correspondencia en curso y armado un recordatorio de pago engañosamente real. El .exe instaló con el doble clic un software malicioso que ahora explora la red y en tres días iniciará el cifrado.

La ruta de decisión

Paso 1 — Reconocer (9:41 h). «No se abre nada» tras un doble clic en un adjunto es un evento, no una casualidad. Había dos señales de alerta: la extensión .pdf.exe y el ZIP para una simple factura. Una tercera estaba oculta: el dominio del remitente.

Paso 2 — Medidas inmediatas. Quitar el cable de red, apagar el wifi. No apagar la computadora (control 5.28 — conservar rastros). No escanear ni borrar nada por cuenta propia.

Paso 3 — Reportar (a más tardar 9:45 h). Llamada a la línea de soporte de TI o al responsable de seguridad de la información — por teléfono, no por correo desde el equipo afectado. Qué reportar: hora, remitente, asunto, qué se abrió, qué se vio después. Sin maquillar: «Abrí el archivo» es la información más importante.

Paso 4 — Evaluación por el área responsable (control 5.25). TI aísla la computadora, revisa los registros, busca otros destinatarios del mismo correo (las oleadas de phishing rara vez afectan a una sola persona) y concluye: software malicioso activo, sin acceso a servidores hasta ahora. Un incidente — pero contenido.

Paso 5 — Respuesta (control 5.26). Reinstalar la computadora, restablecer las contraseñas del Sr. Bernal, informar a Aceros Villarreal por un canal independiente (teléfono, número conocido) — su cuenta está comprometida. Revisar los respaldos (control 8.13).

Paso 6 — Revisar las obligaciones. El contrato de suministro con la empresa de energía exige informar cualquier incidente de seguridad en 24 horas — el reloj corre desde las 9:45 h. No se vieron afectados datos personales: no hay que informar a titulares según la LFPDPPP, pero la decisión se documenta. Si la empresa tuviera operaciones en la UE sujetas a la NIS-2, correría además el plazo de 24 horas para la alerta temprana a la autoridad.

Paso 7 — Aprender (control 5.27). Resultado: en adelante, el servidor de correo bloquea los archivos ejecutables dentro de adjuntos ZIP; contabilidad recibe una regla de cuatro ojos para cambios de cuenta bancaria; el Sr. Bernal no recibe ninguna amonestación — su reporte a los cuatro minutos salvó a la empresa.

La contraprueba: qué habría pasado sin el reporte

Viernes, 3:00 h: el software malicioso cifra el servidor de archivos, el ERP y el respaldo en línea. El lunes la producción está detenida, la empresa de energía suspende los pedidos, la recuperación tarda tres semanas y cuesta una suma muy elevada. Y en el análisis posterior se descubre: alguien abrió un archivo el martes y no dijo nada.

Para recordar

La diferencia entre un tropiezo y una catástrofe fueron aquí cuatro minutos y una llamada. Reporte lo que abrió — justamente cuando «no pasó nada».

Módulo 14 de 15

Procedimiento en su propia empresa

Este módulo lo completa su empresa. La parte general de esta capacitación termina aquí — lo que sigue solo lo conoce su organización.

Estos datos deben incluirse:

Para la dirección

La ruta de reporte es el punto más importante de esta lista — y el que con más frecuencia queda poco claro. La obligación de informar «de forma inmediata» según la LFPDPPP y los plazos de aviso que fijan los contratos con clientes corren desde que la empresa tiene conocimiento. Quien no sabe a quién llamar el viernes en la noche pierde el fin de semana — no por descuido, sino porque nadie se lo dijo. Y: la dirección también se capacita; este certificado es una pieza para ello.

Módulo 15 de 15

Evidencias de la capacitación

Para terminar, lo que convierte esta capacitación en una evidencia.

Por qué hace falta una evidencia: ISO/IEC 27001 exige en el cap. 7.2 que la organización conserve evidencias de la competencia, y en el cap. 7.3 que todas las personas conozcan la política de seguridad, su contribución y las consecuencias de los incumplimientos. El control 6.3 pide concienciación y capacitación periódicas. En la auditoría interna y en la auditoría de certificación, el auditor pregunta primero: ¿Quién fue capacitado, cuándo y en qué — muéstremelo? La misma pregunta la hacen los clientes en los cuestionarios para proveedores y la autoridad de protección de datos después de una vulneración de seguridad.

Repetición: la norma no fija un plazo, pero exige «periódicamente». En la práctica, los organismos de certificación esperan una capacitación anual — además antes del primer acceso a los sistemas de la empresa al ingresar personal nuevo, al cambiar de puesto, después de un incidente de seguridad en la empresa y ante cambios importantes (nuevos sistemas, nuevas amenazas, nuevas disposiciones). Muchas empresas usan además simulaciones de phishing o recordatorios breves durante el año.

Participantes: todas las personas con acceso a información o sistemas de la empresa — colaboradores, mandos, practicantes, personal temporal, trabajadores de agencias y proveedores externos con acceso. También la dirección se capacita: los clientes europeos sujetos a la NIS-2, por ejemplo, ven la capacitación de la dirección como una obligación propia, no delegable.

Documentación: Su certificado de participación lleva nombre, curso, fecha, resultado, la lista completa de temas y un número de certificado que puede comprobarse en la página de verificación de certificado de la Academia. Consérvelo y entregue una copia a quien lleva en la empresa las constancias de capacitación — por lo general el responsable de seguridad de la información, recursos humanos o el responsable del SGSI. Ahí debe registrarse en la matriz de competencias como información documentada según el cap. 7.5.

Qué más debe documentarse: el conocimiento de las políticas de la empresa (módulo «Procedimiento en su propia empresa») con firma o confirmación electrónica y el compromiso de confidencialidad al ingresar (control 6.6). Solo ambas partes juntas — la parte general con certificado y la parte de la empresa con confirmación — forman la constancia de capacitación que un auditor quiere ver.

Para recordar

Una evidencia que nadie encuentra no es evidencia. Archivar el certificado, registrarlo en la matriz de competencias, repetir el próximo año — y capacitar a los nuevos colegas antes del primer inicio de sesión, no después.

Examen final

25 preguntas, cada una con una respuesta correcta. Para aprobar necesita 20 respuestas correctas (80 %). La evaluación se hace en el servidor — en esta página no está la solución.

Su resultado